Des chercheurs de l'Université du Massachusetts Amherst ont démontré que certaines cartes Visa sans contact arrivées à expiration peuvent encore être utilisées pour effectuer des paiements. Baptisée « Zombie Cards », cette vulnérabilité a été présentée lors de la conférence USENIX Security 2026, tenue du 12 au 14 août à Baltimore.

En utilisant deux smartphones équipés de la technologie NFC, les chercheurs ont réussi, dans certaines configurations liées au réseau Visa, à modifier la date d'expiration transmise au terminal de paiement. Cette manipulation permet au terminal de considérer la carte comme toujours valide, exploitant le fait que le compte bancaire rattaché continue d'exister malgré la fin de validité de la carte.

La faille ne concerne pas l'ensemble des réseaux de paiement. Les tests ont montré que les configurations suivantes ont rejeté les dates d'expiration falsifiées grâce à leurs mécanismes de contrôle :

• Mastercard
• American Express
• Discovery

L'issue des transactions varie également selon les établissements bancaires : certaines transactions expérimentales ont été autorisées, tandis qu'une banque a systématiquement détecté la manipulation et refusé le paiement.

Les chercheurs avaient signalé leurs découvertes à Visa et aux banques concernées dès 2025. Cependant, lors de la présentation en août 2026, aucune correction n'avait été confirmée publiquement. Pour limiter les risques d'utilisation frauduleuse, les chercheurs recommandent de détruire les anciennes cartes en endommageant la puce et la bande magnétique.